#2026-07-08 サイバーセキュリティ関連トピック (2)
はじめに
こんにちは、サイバーの犬です。今回もサイバーセキュリティの気になる動きを中心に、落ち着いて見ていきます。
今回取り上げた動向を振り返ると、攻撃の手口は単なる脆弱性の悪用や不正アクセスの枠を超え、AIの活用によって大きく様変わりしているように感じます。従来の認証やアクセス制御が容易に回避される中で、デバイスの識別情報やサプライチェーンの信頼性、さらにはAIエージェントの挙動までが新たな焦点へと移りつつあります。記事では、まず現実の被害と対応を確認し、その根底にある技術的な変化を紐解いた上で、最後にガバナンスの在り方へ視線を向けています。実際の侵害事例や緊急対応の事例から始め、組織としてどこに警戒の焦点を当てていくべきかという視座を、順を追って整理していく構成です。技術的な詳細だけに目を奪われず、今後の対応の在り方を一緒に考えていければと願っています。
記事一覧
🌐 【続報】 KDDI メール不正アクセス、漏えい確定 1 , 223 万件・パスワード 761 万件｜総務省へ報告書提出 - innovaTopia
https://innovatopia.jp/cyber-security/cyber-security-news/112663/
✔️要約
KDDIがISP事業者向けメール基盤で不正アクセスを受け、メールアドレス約1,223万件、パスワード約761万件の漏えいが確定した。6月23日に第一報が発表され、総務省へ報告書が提出された。共通基盤の単一障害点により複数社へ波及した。総務省は報告徴収を実施し、KDDIはEDR導入や7月8日までのパスワード強制変更を完了させる。利用者はクレデンシャルスタッフィングに警戒し、パスワードの使い回し中止と多要素認証の導入が求められる。
💭考察
KDDIのISP向けメール基盤を介した不正アクセスでは、共有環境の単一障害点が複数テナントへ波及しました。1,223万件のメールアドレスと761万件のパスワードが漏えいした背景には、境界線が曖昧な権限管理の運用リスクが潜んでいるように感じます。共通基盤を利用する組織は、自社アカウントが他社とどのように分離・監視されているか、そしてパスワードの使い回しがクレデンシャルスタッフィングにどう響くか、今一度整理しておくと良いでしょう。
🌐 AI フィッシング詐欺が 14 倍に急増：スミッシング、 QR コード詐欺、音声クローンの手口と対策 - 財経新聞
https://www.zaikei.co.jp/article/20260708/860236.html
✔️要約
AIの活用がフィッシング詐欺を急拡大させている。2025年末から攻撃率が14倍に跳ね上がり、2026年には全体の約40%に達すると予測される。Googleは2026年6月に、MFAを回避する「AITM（アドバーサリー・イン・ジ・ミドル）」手口を警告。この手法では被害者と本番サイトの間に仲介サーバーを配置し、認証コードをリアルタイムで盗み取る。また、AI音声による電話詐欺（ヴィッシング）、QRコードを用いたフィッシング（クィッシング）、SMS詐欺（スミッシング）も増加している。対策として、GoogleやMcAfeeは二次チャネルによる確認や、MITM攻撃に対抗できるFIDO2（WebAuthn）準拠のハードウェアセキュリティキーの使用を推奨している。
💭考察
AIによるフィッシングが急拡大する中、Googleが警告するAITM手口の実態は、認証プロセスそのものを仲介してコードを奪う点にあります。従来のMFA対策が無力化されかねないため、運用面ではFIDO2準拠のハードウェアセキュリティキー導入を優先度として検討しておくとよいでしょう。音声やQRコードを介した多様な攻撃経路を単体で防げない現実に、認証の信頼性向上が鍵になりそうです。
🌐 アクセンチュア、ハッカーの窃取データ販売申し出を受けてセキュリティ侵害を確認
（原題: Accenture confirms breach after hacker offers stolen data for sale）
✔️要約
ITサービス大手のアクセンチュアが、脅威アクター「888」によるデータ侵害を確認したと発表。同アクターは2026年7月にソースコードやRSA/SSHキー、Azure PATやストレージアクセスキーなど35GB超の機密情報を窃取し、サイバー犯罪フォーラムで売却を呼びかけている。アクセンチュアは「孤立した事象であり、事業やサービス提供に影響はない」と主張し、根本原因の修復を完了したと説明している。攻撃経路や顧客データの流出有無については詳細を明かさなかった。アクセンチュアは過去にもランサムウェア集団LockBitによる侵害や第三者経由の侵害を経験しており、セキュリティ対策の重要性が改めて浮き彫りとなった。
💭考察
脅威アクター「888」がRSAやSSHキー、Azure PATなどを窃取した事案では、侵害後の資格情報破棄と監視強化が重要なポイントとなります。侵入経路の遮断と内部の不正痕跡調査を並行して進めるのが現実的でしょう。顧客データの流出有無は未だ不明ですが、長期有効な認証情報の改ざんリスクをどう可視化し、次なる展開を警戒しておくか。侵害後の復旧手順が実際にどう機能したか、現場の対応精度を注視しておくと良さそうです。
🌐 中国疑惑のスパイ組織がRoundcubeの脆弱性攻撃チェーンを用いて大学に侵入
（原題: Suspected Chinese espionage group used a Roundcube exploit chain to burrow into universities）
https://cyberscoop.com/china-espionage-attacks-us-canada-universities-proofpoint/
✔️要約
Proofpointの調査によると、中国支援の脅威アクター「UNK_MassTraction」が米加の大学を対象に、オープンソースメールクライアント「Roundcube」の脆弱性（CVE-2024-42009、CVE-2025-49113）を悪用した攻撃チェーンを展開していた。物理・工学部の関係者や国家安全保障に関連する教授らを標的とし、フィッシングメール経由でメールサーバーに侵入し、Webシェルやバックドアにより長期アクセスを確立。被害規模は少なくとも10校未満だが、数十校に及ぶ可能性があり、攻撃は継続中。メール経由のサーバー侵害という手法は従来とは異なる特徴を持つ。
💭考察
大学が運用するRoundcubeへのCVE-2024-42009やCVE-2025-49113対策は、単なるバージョンアップにとどまらないようです。研究機関特有の長期稼働環境や、外部委託による管理範囲の曖昧さが、攻撃の足掛かりになりかねません。影響するサーバーの切り分けと、既知の脆弱性情報に基づく優先度付けを、まず内部関係者間で共有しておくのが現実的でしょう。
🌐 裁判所提出書類が明らかに：WindowsデバイスIDがFBIによるScattered Spiderハッカーの追跡を支援
（原題: Court Filing Reveals Windows Device ID Helped FBI Trace Alleged Scattered Spider Hacker）
https://thehackernews.com/2026/07/court-filing-reveals-windows-device-id.html
✔️要約
米司法省は、高級ジュエリー小売店への侵入事件でスキャタライド・スパイダー（Scattered Spider）容疑者の19歳ピーター・ストークス氏を逮捕した。攻撃者はITヘルプデスクへのフィッシング電話で従業員権限を奪い、ngrokやTeleportで通信をトンネリングして77GBのデータを流出させた。捜査当局はMicrosoftの永続デバイスIDとクラウド記録、SNSの投稿を交差検証し、フィンランドから米国へ送還した。同集団は単一組織ではなく、ツールとチャットルームで結ばれた緩やかな細胞集団との分析もあり、個別逮捕では脅威の根絶は困難だと指摘されている。
💭考察
Scattered SpiderによるITヘルプデスクへのフィッシング電話で奪われた認証情報と、ngrokやTeleportを用いたトンネリング通信が、Microsoftの永続デバイスIDによって追跡可能な痕跡を残していました。攻撃者が一時的に取得した権限範囲をどう監視し、不要になったアクセスをどう取り消すかが、内部データ流出を防ぐ上で重要になりそうです。単なるパスワード変更ではなく、デバイスとセッションの連携ログを日常から確認しておくと、思わぬ横移動の気配を早期に察知できるかもしれません。
🌐 GoogleがGeminiを利用する中国の詐欺師を提訴
（原題: Google Is Suing Chinese Scammers Who Are Using Gemini）
✔️要約
Googleは、Telegram上で「Outsider Enterprise」と呼ばれる中国人詐欺グループを提訴した。同グループはフィッシング・ア・サービスを提供し、GoogleのGemini AIを活用してGoogleやYouTube、政府機関を模した詐欺サイトやメッセージを約300種のテンプレートで作成・配布していた。これに対しGoogleはAT&T、Verizon、T-Mobileと連携して悪質なSMSの送信ブロックを実施し、Google Messages搭載のAIによる端末内フィッシング検知機能の活用も報告した。同機能は月間約100億件の詐欺SMSを検知しており、今回の提訴はAI悪用による詐欺対策の一環として期待される。
💭考察
Geminiの生成能力がテンプレート作成を容易にするにつれ、フィッシングの質と量が膨らんでいるようです。Outsider Enterpriseが約300種を展開した背景には、攻撃の標準化が進んだ現実が透けて見えます。単なるURL遮断ではなく、Google Messagesの端末内AI検知や通信事業者連携といった、AI同士が交差する防御ラインの実装が実務では重要になってきそうです。攻撃が自動化する環境では、防御側もインフラレベルでAIを捉え直す時期に来ているのかもしれません。
🌐 攻撃者がAdobe ColdFusionの重大な脆弱性（CVE-2026-48282）を悪用
（原題: Attackers exploit critical Adobe ColdFusion vulnerability ( CVE-2026-48282 )）
https://www.helpnetsecurity.com/2026/07/07/adobe-coldfusion-cve-2026-48282-exploitation-detected/
✔️要約
Adobe ColdFusionの重大な脆弱性CVE-2026-48282が、パッチ公開直後の2026年7月2日に実世界で悪用されていることが確認された。これはRDS（Remote Development Services）機能のパストラバーサル脆弱性で、認証無効化時に悪意のあるファイルアップロード経由で任意のコード実行が可能になる。WatchTowrやKEVIntelなどの脅威インテリジェンス企業が検知しており、管理者はColdFusion 2025 Update 10または2023 Update 21へのアップグレード、およびインターネット公開サーバーのRDS無効化と侵害指標（IOCs）の調査が強く推奨されている。
💭考察
ColdFusionの重大な脆弱性CVE-2026-48282は、パッチ公開直後から実環境で確認されており、インターネット公開サーバーの切り分けがまず優先されそうです。RDS機能を利用している資産は認証回避の経路となり得るため、まずは内部リストから該当インスタンスを抽出し、アップデート適用か機能の無効化を優先順位をつけて進めておくと良いでしょう。既存の通信記録も合わせて見直しておくと、対応の幅が広がりそうです。
🌐 「ColdFusion」や「Langflow」の脆弱性悪用に注意喚起 - 米当局
（原題: 「 ColdFusion 」や「 Langflow 」の脆弱性悪用に注意喚起 - 米当局）
https://www.security-next.com/186957
✔️要約
米CISAは、Adobe ColdFusionやLangflow、Joomla向け拡張機能の脆弱性悪用を確認し、既知の悪用脆弱性カタログ（KEV）へ追加したと発表。Langflowでは認証バイパス（CVE-2026-55255）により他ユーザーのフロー実行が可能となるほか、Joomla系拡張機能では認証不要のファイルアップロード経由の任意コード実行（CVE-2026-56290、CVE-2026-48908）が攻撃に利用されている。関係者に早急なパッチ適用を呼びかけている。
💭考察
LangflowのCVE-2026-55255やJoomla系拡張機能のCVE-2026-48908が実害に繋がる背景には、IDと権限の境界が曖昧になりがちな運用実態が透けて見えます。外部からのアクセス制御だけでなく、内部で生成されたフローやアップロードリソースが、どのアカウントの権限枠内で動くかを厳密に区切っておくのが現実的でしょう。パッチ適用と並行して、サービスアカウントの最小権限化や、アクセスログにおける権限昇格の兆候を眺めておくと、思わぬ横展開を防げるかもしれません。
🌐 実害が発生中の重大なGitea Docker脆弱性によりリポジトリと機密情報が漏洩
（原題: Critical Gitea Docker Bug Under Active Exploitation Exposes Repositories and Secrets）
✔️要約
Sysdigは、Gitea公式Dockerイメージ（1.26.2以前）に存在する重大な認証回避脆弱性CVE-2026-20896の実際の攻撃事例を警告した。この脆弱性は、リバースプロキシ認証のデフォルト設定がすべてのIPアドレスを信頼するよう誤設定されていることに起因し、攻撃者は単一のHTTPヘッダー（X-WEBAUTH-USER）を送信するだけで、パスワードやトークンなしで任意のユーザーや管理者になりすますことができる。1.26.3以降ではこの機能がオプトイン方式に変更され修正済み。Shodan調査では約6,200件の公開インスタンスが確認されており、即時のバージョンアップと設定見直しが急務である。
💭考察
実害が確認されているGiteaのCVE-2026-20896への対応では、単なるバージョンアップだけでなく、インターネットに公開されているインスタンスの優先順位付けが実務の焦点になりそうです。リバースプロキシ経由で認証を迂回する仕組みを利用している場合、社内ネットワーク内にも同様の構成が残っていないか、資産の切り分けをまず行っておくと見えてくるでしょう。公開範囲と運用担当者を明確にし、1.26.3以降への移行順序を決めていくのが現実的な対応の流れかもしれません。
🌐 Intel・AMD搭載デバイスでVM脱出を可能にする新たなLinux脆弱性「Januscape」
（原題: New Januscape Linux flaw allows VM escape on Intel , AMD devices）
✔️要約
LinuxカーネルのKVM/x86における16年間の放置されていた脆弱性「Januscape（CVE-2026-53359）」が公開された。シャドウMMUエミュレーションのUse-After-Freeが原因で、ゲストVMのroot権限を持つ攻撃者がホストOSにエスケープし、ホストのroot権限取得やカーネルパニック（DoS）を引き起こせる。IntelとAMDの両アーキテクチャで発動可能であり、マルチテナント型パブリッククラウド環境に重大な脅威となる。研究員のHyunwoo Kim氏は2026年6月にパッチを適用し、カーネルパニックを引き起こすPoCを公開した。完全なエスケープPoCは現時点で公開されていないが、管理者は該当カーネルコミット81ccda30b4e8の適用を確認する必要がある。
💭考察
16年放置されたシャドウMMUの欠陥が、マルチテナントクラウドの境界を揺るがすCVE-2026-53359です。ゲストの権限が直接ホストに影響する構造は、SaaS連携や外部公開設定の運用接点でも注意深く眺めておきたい点です。インフラ側が抱える境界の脆さを、テナント分離の監視指標や権限管理の運用にどう結びつけるか、運用チームがどのように境界を可視化していくか、その視座の変化を注視しておくと良いでしょう。
🌐 Tenda製ルーターの隠しバックドアが管理者権限の取得を可能に、パッチは未提供
（原題: Hidden Tenda Router Backdoor Grants Admin Access , No Patch Available）
✔️要約
CERT/CCが公開した警報によると、Tenda製ルーターやスイッチ、無線APなどの複数の製品firmwareに、認証を回避するundocumentedなバックドア（CVE-2026-11405）が確認されています。認証失敗時にsys.rzadmin.passwordの値を平文で比較する仕組みにより、任意のユーザー名と特定のパスワードで管理者権限が取得可能です。設定された正規の認証情報を完全にバイパスするため、DNS設定の変更やセキュリティ機能の無効化、ネットワークの乗っ取りが可能になります。ベンダーからの修正パッチは未提供で、現時点ではリモート管理の無効化やLAN IPアドレスの変更が唯一の実用的な緩和策となります。
💭考察
Tenda製ルーターのCVE-2026-11405は、正規の認証情報をバイパスして管理者権限を取得できる点に留意しておくと良いでしょう。平文比較の仕組みが残る背景には、保守用アカウントが運用環境に残りやすい構造が透けて見えます。パッチ未提供の今、リモート管理の無効化やLAN側IP制限が現実的な対応となりそうです。認証が機能しない状態でも内部の権限昇格へと誘発するリスクがあるため、普段からネットワークの可視化と不正アクセスの痕跡を確認しておくのが自然でしょう。
🌐 「Dell PowerProtect Data Domain」に143件の脆弱性 - 修正版が公開
（原題: 「 Dell PowerProtect Data Domain 」に 143 件の脆弱性 - 修正版が公開）
https://www.security-next.com/186965
✔️要約
Dellのバックアップストレージ製品「PowerProtect Data Domain」の修正アップデートが公開され、合計143件の脆弱性が解消された。セキュリティアドバイザリはクリティカルと評価され、うち製品固有の26件を含む。特にCVE-2026-53481（パストラバーサル）とCVE-2026-53483（認証不備）はCVSSスコア9.8の重大な問題で、リモートから認証なしでシステム制御を奪われる危険性がある。利用者は直ちにアップデートを実施する必要がある。
💭考察
PowerProtect Data Domainの143件修正では、CVE-2026-53481やCVE-2026-53483のようなCVSS 9.8の重大件をどう優先するかが焦点になりそうです。バックアップストレージは機密データそのものを扱うため、インターネット公開の有無だけでなく、内部ネットワークの信頼境界や他システムとの連携点も併せて整理しておくと良いでしょう。パッチ適用のタイミングを資産の重要度と結びつける視点を持てば、対応の幅も自然に定まりそうです。
🌐 GitLost：GitHubのAIエージェントが誘導され、非公開リポジトリのデータを漏洩させる
（原題: GitLost : GitHub ’ s AI Agent Tricked Into Leaking Private Repository Data）
https://hackread.com/gitlost-github-ai-agent-leaking-repository-data/
✔️要約
Noma Labsは、GitHubのAIエージェント機能「Agentic Workflows」における重大なプロンプトインジェクション脆弱性「GitLost」を公開しました。本脆弱性は、攻撃者が公開リポジトリのIssue本文に悪意のある指示を埋め込むことで、組織内のプライベートリポジトリから機密データを取得し、公開コメントとして投稿させるものです。GitHubのガードレールは特定の単語で回避可能であり、認証やコードスキルは不要です。Noma Labsは責任ある開示を行い、対策としてユーザー入力の信頼排除、最小権限の適用、インストラクションと入力の分離を推奨しています。AIエージェントの横断的アクセス権限が新たな攻撃面となっていることを示しています。
💭考察
公開Issueを参照してプライベートリポジトリへアクセスするGitHubのAIエージェントの構造は、従来の依存関係管理とは異なる新たなサプライチェーンの隙間を生み出しているようです。自動実行されるワークフローが外部からの指示をそのまま信頼してしまうと、CI/CDの信頼性そのものが損なわれる恐れがありますね。ツール側のガードレールを整えるよりも、エージェントが参照するデータソースの信頼境界をどう設計するかが、今後の対応の方向性を示すポイントになりそうです。
🌐 下院国土安全保障委員会、DHSネットワークへの不正アクセスに関するブリーフィングを要請
（原題: House Homeland committee seeks briefing on DHS network hack）
✔️要約
米国土安全保障省（DHS）が運営するHSINへのサイバー侵入が確認された。下院国土安全保障委員会はDHSに対し、侵入経緯や被害状況に関する緊急の説明会を要求している。攻撃は5月末から6月初旬にかけて発生したとみられるが、被害者や窃取データの特定は進んでいない。HSINは連邦・州政府や自治体間での機密性の高い非機密情報共有や、ワールドカップなどの大規模イベントの安全保障調整に利用されており、マルワナー上院議員は国家安全保障上の重大なリスクを指摘している。DHSは影響システムを隔離し、フォレンジック調査を開始済み。
💭考察
HSINへの侵入事案では、影響システムの隔離とフォレンジック調査の並行が求められそうです。機密性の高い情報共有基盤であるため、内部の権限構造やデータ流出の痕跡を丁寧に追跡しないと、二次被害の範囲が読めなくなりがちです。下院委員会の要請があるだけに、攻撃経路の特定だけでなく、他機関への波及防止策の透明性も併せて見据えると、今後の対応指針が見えてくるでしょう。
🌐 EU は AI を通じてサイバーセキュリティにおける自律性を強化し、米国技術への依存度を低減させている。 - Vietnam.vn
https://www.vietnam.vn/ja/eu-tang-cuong-tu-chu-an-ninh-mang-bang-ai-giam-phu-thuoc-cong-nghe-my
✔️要約
欧州委員会は7日、米国製AIモデルへの依存脱却とサイバー脅威への対応力強化を目的とした行動計画を発表した。2027年までにAIモデルの独立評価メカニズムを確立し、ENISAと連携して2026年末までに共通規格を策定する。外国供給業者のサービス停止に備えた緊急調達メカニズムの導入や、脆弱性検出のためのオープンソースAI導入を各国に要請。中小企業への支援や技術主権確保に向けた欧州規模のコンペティション実施も計画されており、AIを巡る米中欧の技術競争の中で独自のセキュリティ体制を構築する方針を示した。
💭考察
EU委員会が掲げる2026年末の規格策定と2027年のAI独立評価メカニズムは、調達基準や監査ルートを明確にするガバナンスの転換点になりそうです。ENISA連携や緊急調達枠組みは、組織横断でサプライチェーンリスクを可視化する機会となるでしょう。外部依存前提の従来体制では限界が見え始めているのかもしれません。規格が固まる過程で、自社の調達審査や資産整理をどこまで先行させておくかが、実務の分かれ目になりそうです。
🌐 EU は、サイバーセキュリティにおける AI リスクに対処するための行動計画を発表した。 - Vietnam.vn
https://www.vietnam.vn/ja/eu-cong-bo-ke-hoach-hanh-dong-ung-pho-rui-ro-ai-trong-an-ninh-mang
✔️要約
EUはAIのサイバー攻撃への悪用や脆弱性検出の自動化による脅威に対処するため、新規行動計画を発表した。AI法（2026年8月発効）を踏まえ、AIモデルの評価強化や2027年運用の独立型サイバーセキュリティ評価能力の構築、ENISAとJRCによる重要インフラ向けAIテストプラットフォームの開発、設計段階からのセキュリティ原則適用、および「EUグランドチャレンジ」を通じたAIセキュリティ技術の育成などを柱とする。既存のNIS2やDORAと連携し、ENISAの権限・リソース拡大も図り、EU域内のAI技術依存脱却と包括的なデジタル防衛体制の構築を目指す。
🌐 エンタープライズ全体のAI環境でClaude Coworkのセキュリティを確保するために必要なこと
（原題: What It Takes to Secure Claude Cowork Across the AI Enterprise）
✔️要約
エンタープライズにおけるAIエージェントの普及に伴い、従来のアクセス制御だけでは不十分となっている。AIエージェントは動的にツールやデータソースを連携し、セッション内の機密データ漏洩やランタイム時の悪意ある指示によるハッキングなどのリスクが生じる。本記事では、Claude CoworkなどのAIツール導入時に、セッション中のリスク評価、データ保護、監査証跡、コスト管理を実現する「AIランタイムセキュリティ」と「AIコントロールプレーン（AIゲートウェイ）」の重要性を解説し、Prisma AIRS AI Gatewayを例に複数AIツールを横断的に統合管理・保護する基盤の必要性を説く。
💭考察
エンタープライズでClaude Coworkの導入が進む中、従来のIAMやネットワーク境界だけでは不十分になる点に留意しておくと良いでしょう。エージェントがセッション内で動的にツールを連携する性質上、ランタイム時のプロンプト操作や機密データ漏洩が新たな経路となり得ます。Prisma AIRS AI Gatewayのような基盤でセッションごとのリスクを可視化する設計が実務で活きてくるでしょう。静的な許可管理から、行動ベースの監視へ視点を移す時期に来ているのかもしれません。
🌐 ソフトウェアサプライチェーンにAIがコード生成に関わるようになると、何が変化するのか？
（原題: What Changes When Your Software Supply Chain Includes AI Writing Your Code ?）
https://thehackernews.com/2026/07/what-changes-when-your-software-supply.html
✔️要約
AIツールの開発パイプライン組み込みにより、ソフトウェアサプライチェーンセキュリティの脅威がコードの正当性からモデルやエージェントの信頼性へ移行している。従来の依存関係スキャンでは不十分となり、MCPサーバー経由の自律的ツール呼び出しやプロンプトインジェクションなどの新たな攻撃表面を考慮する必要がある。Gartnerがサプライチェーンセキュリティ市場を正式評価したことを契機に、モデルとエージェントの系統情報追跡、実際の攻撃可能性に基づく優先順位付け、そしてAIを前提としたセキュリティプログラムの再構築が急務となっている。
💭考察
AIがCI/CDパイプラインに組み込まれると、サプライチェーンの脅威はコードの正当性からモデルの出力信頼性へと移行しているようです。依存関係スキャンでは捉えきれない、生成パッケージの署名検証や配布経路の追跡が新たな課題となりそうです。プロンプトインジェクションによるビルドプロセスの改変リスクを考えると、ツールチェーンの動作経路をどう可視化し、信頼できる配布経路を確保するか、実務の視点がシフトしているように感じられます。
🌐 米サイバーセキュリティ機関がアンソロピック社の「Mythos」を政府機関のコード監査に使用していると報じられる。これは何を意味するのか？ - WION
（原題: US cybersecurity agency is reportedly using Anthropic ' s Mythos for auditing govt code. What does it mean ? - WION）
✔️要約
CISAがAnthropic社のAIコード解析モデル「Mythos」を活用し、連邦政府のコードリポジトリに対する脆弱性診断と監査を実施している。トランプ政権が以前サプライチェーンリスクを理由に同社の製品利用制限を検討した経緯があるものの、NSAやCISAは実務での効果の高さを評価し、政府システム全体のセキュリティ強化に導入を進めている。AIによる大規模なレガシーコードの自動解析は、従来より効率的に脆弱性を発見・修正する手段として活用されている。
💭考察
連邦政府の監査にAnthropicのAIコード解析モデルMythosが本格導入される動きは、レガシーコードの大量処理における実効性を示しているようです。一方で、生成された解析結果をそのまま信頼するのではなく、モデルが参照した依存関係や学習データの偏りによる誤検知リスクを運用側でどう検証していくかが実務では重要になってきそうです。AIが防御の最前線に組み込まれる今、ツールの精度向上だけでなく、人間がどの判断根拠に焦点を当てるかという監視の目線が、今後のシステム運用ではより求められるでしょう。
🌐 USB ホストが利用可能と判断するデバイスの調査ツール「 CDI USB MAPPER 」を開発しました
https://io.cyberdefense.jp/entry/usbmapper1/?utm_source=feed
✔️要約
CDI USB MAPPERは、USBホストが実際に認識・利用可能なデバイスクラスを列挙するテストツールです。USBデスクリプタを模倣して応答し、ホストからSET_CONFIGURATIONリクエストが送信されるかを監視します。10秒間応答がない場合、ホストがそのデバイスを無効と判断したと判定します。Windowsでのレジストリ設定によるUSBメモリ無効化検証の事例や、Cynthionなどの既存ツールとの違い、セキュリティポリシーの機械的検証への活用方法を解説しています。
💭考察
USBデバイスの実効利用可否を可視化するCDI USB MAPPERは、技術検証を超えポリシーの責任分界を明確にする手がかりになりそうです。レジストリ設定で無効化されても認識され続けるケースでは、誰がどの段階で意思決定を下すかが焦点になりそうです。監査の文脈では、技術的無効化と管理上無効化の乖離をどう記録し、承認ルートに織り込むかが、リスク許容度を測る指標かもしれません。
おわりに
以上が今回のサイバーセキュリティ関連トピックのまとめです。 気になる記事がありましたら、スキやフォローで応援いただけるとうれしいです。
